59,99 €
Mehr erfahren.
- Herausgeber: MITP
- Kategorie: Wissenschaft und neue Technologien
- Serie: mitp Professional
- Sprache: Deutsch
- Fundiertes und umfassendes Wissen zum Thema IT-Sicherheit
- Inklusive aller Neuerungen zur Rechtslage bzgl. Datenschutz und Datensicherheitt
- Mit Vorbereitungsfragen zu jedem Fachgebiet
Bedrohungen durch mangelhafte Sicherheitskonzepte, unsichere Anwendungen und Angriffe nehmen laufend zu. Eine sichere IT-Umgebung zu gestalten, ist daher ein zentrales Thema in jedem Unternehmen. Die Zertifizierung CompTIA Security+ ist ein wertvoller Nachweis für praxisnahe und umfassende Kenntnisse im Bereich der Informationssicherheit, denn die Prüfung deckt zahlreiche wichtige Themengebiete ab.
In der aktuellen Fassung der Prüfung (SYO-701) sind das:
- Generelle Sicherheitskonzepte
- Bedrohungen, Schwachstellen und Abwehrmaßnahmen
- Sicherheitsarchitektur
- Sicherer Betrieb
- Verwaltung und Überwachung von Sicherheitsprogrammen
Die Autoren behandeln umfassend die genannten Themenbereiche und vermitteln Ihnen mit diesem Buch das für die Zertifizierung notwendige Fachwissen. Im Zentrum steht dabei der Aufbau eines eigenen Verständnisses für die IT-Sicherheit. So erhalten Sie die notwendigen Grundlagen, um die Prüfung CompTIA Security+ erfolgreich zu bestehen.
Aus dem Inhalt:- Sicherheitsmanagement und Richtlinien
- Unterschiedliche Zugriffsverfahren
- Authentifizierungsmethoden
- Aktuelle Rechtslage im Datenschutz
- Biometrische Erkennungssysteme
- Sicherheit durch Redundanz
- IT-Infrastruktur resilient gestalten
- Grundlagen der Systemhärtung
- Gezielte und neuartige Angriffsformen
- Mailverkehr sichern
- Cloud Computing sicher gestalten
- Denial of Service, Pufferüberlauf, Race-Condition
- Sichere Verbindungen durch VPN und Remote Access
- Sicherheitsimplikationen bei eingebetteten Systemen und IoT
- WLAN sicher konfigurieren
- System- und Netzwerküberwachung
- Analyseprogramme Wireshark, RRDTools, Nagios
- Unterschiedliche Firewallkonzepte
- Methoden der Datensicherung
- Disaster Recovery-Planung
- Pentesting und Forensics
- Metasploit Framework
- Sicherheitsüberprüfungen und Security Audits
Das E-Book können Sie in Legimi-Apps oder einer beliebigen App lesen, die das folgende Format unterstützen:
Seitenzahl: 934
Veröffentlichungsjahr: 2025
Ähnliche
Mathias Gut, Markus Kammermann
CompTIA Security+
IT-Sicherheit verständlich erklärt
Die umfassende Prüfungsvorbereitung zur CompTIA-Prüfung SY0-701
Impressum
Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über https://portal.dnb.de/opac.htm abrufbar.
ISBN 978-3-7475-0970-8 5. Auflage 2025
www.mitp.de E-Mail: [email protected] Telefon: +49 7953 / 7189 - 079 Telefax: +49 7953 / 7189 - 082
© 2025 mitp Verlags GmbH & Co. KG
Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften.
Dieses E-Book verwendet das EPUB-Format und ist optimiert für die Nutzung mit Apple Books auf dem iPad von Apple. Bei der Verwendung von anderen Readern kann es zu Darstellungsproblemen kommen.
Der Verlag räumt Ihnen mit dem Kauf des E-Books das Recht ein, die Inhalte im Rahmen des geltenden Urheberrechts zu nutzen. Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.
Der Verlag schützt seine E-Books vor Missbrauch des Urheberrechts durch ein digitales Rechtemanagement. Bei Kauf im Webshop des Verlages werden die E-Books mit einem nicht sichtbaren digitalen Wasserzeichen individuell pro Nutzer signiert. Bei Kauf in anderen E-Book-Webshops erfolgt die Signatur durch die Shopbetreiber. Angaben zu diesem DRM finden Sie auf den Seiten der jeweiligen Anbieter.
Lektorat: Katja Völpel Sprachkorrektorat: Jürgen Dubau Covergestaltung: Christian Kalkert Coverbild: ©RVNW/adobe stock Satz: III-satz, Kiel, www.drei-satz.deelectronic publication: III-satz, Kiel, www.drei-satz.de
Kapitel 1: Laras Welt
Guten Tag, ich bin Lara aus Neustadt. Ich arbeite bei der lokalen Agentur der Nixsicura-Versicherungen und möchte euch einen Einblick in meinen beruflichen Alltag und den Umgang mit Informatik und Sicherheit geben.
Morgens bin ich jeweils die Erste, die anfängt, also schließe ich die Agentur und alle Büros auf und schalte über meine App die Kaffeemaschine ein. Anschließend gehe ich an meinen Computer und starte diesen, damit ich Zugriff auf die Daten und das Internet habe. Am Morgen genieße ich die Ruhe, da kann ich alle Mails lesen und noch ein wenig im Internet surfen und Videos schauen, was auf der Welt Interessantes geschieht. Allerdings muss ich in letzter Zeit oft darüber nachdenken, ob eine bestimmte Mail jetzt wirklich von einem Kunden oder einem Vertragspartner kommt oder nicht. Dann klicke ich zur Sicherheit jeweils auf den Anhang, dort steht ja, was ich wissen muss. Dabei hat mein Antivirenprogramm jetzt zweimal einen solchen Anhang gelöscht, dabei ich wollte doch nur nachsehen, was drin steht. Das fand ich dann doch unfair, zwei Mails waren doch sogar Bewerbungen für die neue Kundenberaterin, dass muss ich doch lesen können!
So gegen acht Uhr kommen dann die beiden Kollegen und die Chefin, und der Arbeitstag beginnt: Kunden bedienen, Links mit den eingegangenen Verträgen anklicken und öffnen, Verträge zur Unterschrift weiterleiten, Policen in der Cloud am richtigen Ort ablegen oder auch mal Reklamationen bearbeiten – was alles so anfällt in einer Versicherungsagentur. Die Daten sind für mich zum Glück alle zugänglich, so kann ich auch der Chefin mal bei einem Vertrag unter die Arme greifen oder Arbeiten meiner Kollegen ordnen und korrekt ablegen, die gerne alles einfach irgendwo speichern. Zur Sicherheit haben wir auch alle unsere Kennwörter auf einer Liste notiert, dann können wir einander problemlos helfen.
Seit Kurzem kann ich für die Ausarbeitung von Texten auch das Programm Brainfree nutzen. Dieses arbeitet mit künstlicher Intelligenz und hilft mir sehr. So kann ich einen ausführlichen Schadensbericht mit allen Daten einfach hochladen und dem Programm sagen, es soll mir eine Zusammenfassung schreiben. Mit ein paar Kundenangaben dazu kann es mir sogar ein Antwortschreiben vorschlagen. Und das alles gratis und direkt im Internet, ich finde das super praktisch.
Über Mittag gehen wir meist alle zusammen essen. Wir kennen da ein kleines Restaurant in der Nähe, das ist über Mittag zwar gut gefüllt, aber für uns halten sie immer einen Tisch frei. Das Büro schließen wir natürlich ab, die Systeme lassen wir laufen, damit wir nach der Pause nicht so viel Zeit verlieren, bis wir wieder arbeiten können.
Am Mittagstisch kann man schon mal was Privates bereden, aber auch aktuelle Vorgänge vom Vormittag, interessante Schadensfälle oder die neuesten Ideen unserer Kunden können wir hier ebenso besprechen. Das kann auch mal laut werden, aber meistens ist es einfach interessant – der Mittag ist immer schnell vorbei.
Am Nachmittag geht’s wieder zurück in die Agentur. Während die beiden Kollegen dann öfter draußen bei den Kunden sind, bleibe ich in der Agentur für die Administration zuständig und erledige Telefonate oder bediene Kunden, die sich bei mir an den Tisch setzen, um mit mir ihre Sorgen oder Anliegen zu besprechen. Erst letztlich hat mich ein potenzieller Kunde sehr genau über die Vorgänge in unserer Agentur ausgefragt, da konnte ich mal zeigen, was ich alles weiß. Ein anderer stellte sich via Teams-Telefon als Regional-Finanzverantwortlicher vor und bat mich, unseren Werbeetat-Anteil an ihn sofort zu überweisen, was mir zwar komisch vorkam, aber ich möchte ja freundlich sein und habe so viele Auskünfte erteilt, wie ich konnte. So gegen 17 Uhr verlasse ich dann das Büro – abschließen tut in der Regel die Chefin, da sie meistens länger bleibt.
So weit ist eigentlich alles wie immer, wir sind organisiert, und ich bin auf meiner Stelle zufrieden. Nur nächste Woche, da müssen wir die Agentur für einen Tag schließen, weil unsere Zentrale uns alle in so eine Awareness-Schulung schicken will. Ich weiß zwar nicht, wozu das gut sein soll, bei uns ist ja noch nie etwas passiert – aber wenn es angeordnet ist, gehen wir hin und sehen, was wird. Vielleicht lässt sich ja noch etwas lernen.
1.1 Das Ziel dieses Buches
Laras Welt ist in Ordnung. Und für viele andere ist sie das auch, selbst wenn sie sich keine großen Gedanken über die Informatik machen, da sie diese als Instrument für ihre Arbeit nutzen und nicht als zentrales Thema um seinetwillen betrachten.
Oder denken Sie an IT, wenn Sie von einer Öl-Pipeline lesen? Und doch hat im Mai 2021 ein ebensolcher Angriff auf die IT-Systeme der größten amerikanischen Versorgungslinie dafür gesorgt, dass die Versorgungslinie selbst aus Sicherheitsgründen für mehrere Tage abgeschaltet werden musste. Und dies, obwohl durch diese Leitung mehr als 40 % der gesamten an der Ostküste verbrauchten Kraftstoffe laufen.
Oder denken Sie zuerst an IT, wenn Ihre Zeitung am Morgen nicht erscheint? So geschehen in Deutschland, als im April 2021 nach einem Hackerangriff zahlreiche Zeitung und Online-Portale der Madsack-Mediengruppe nicht mehr erreichbar waren oder Zeitungsteile über Tage nur in reduziertem Umfang produziert werden konnten.
Die Liste solcher und anderer Angriffe auf Unternehmen lässt sich mittlerweile täglich erweitern. Und die Folgen sind für die Unternehmen oft so gravierend, dass darüber nicht in den IT-Foren oder Security-Boards, sondern in der Tagesschau oder den Zeitungen berichtet wird. Die Angriffe zeigen überdies, wie eng die Verzahnung der eigentlichen Wertschöpfung von Unternehmen mit der Informatik und ihren Systemen mittlerweile ist – und wie manche »Laras aus Neustadt« immer noch auf unbekannte Mails klicken, sich an Telefonen ausfragen lassen oder Systeme unbeachtet laufen lassen.
Die Welt wird wegen eines neuen Buches nicht sicherer, doch mit wachsendem Bewusstsein für die Gefahren, denen unsere Daten und Systeme heute ausgesetzt sind, lässt sich künftig wenigstens ein Teil solcher Angriffe erschweren oder verhindern.
Unser Buch soll dazu die notwendigen Anleitungen, Hilfestellungen, Erklärungen und praktischen Hinweise liefern, damit Ihnen das auch gelingen kann, – und Sie darüber hinaus auf die entsprechende Zertifizierung Ihrer Fähigkeiten als CompTIA-Security+-Techniker/-in gründlich vorbereiten.
Die folgenden Kapitel dieses Buches möchten Ihnen dazu das notwendige Wissen vermitteln und Ihnen eine Orientierung anbieten, damit Sie sich anschließend in den verschiedenen Themenbereichen der Netzwerk- und Systemsicherheit auskennen. So sind Sie auch in der Lage, sich von verschiedenen Seiten her mit der Thematik auseinanderzusetzen: von den Modellen wie IT-Grundschutz, ISO 27000 über die Bedrohungslage bis hin zur Implementation von Maßnahmen oder eines ganzen Security-Managementsystems!
Die Inhalte dieses Buches und eventuell auch ein dazugehöriges Seminar helfen Ihnen bei dem Verständnis der technischen Begriffe, der Funktionsweise von Sicherheitsmaßnahmen und den aktuellen Bedrohungen und einem praxistauglichen Vorgehen, um die Prüfung CompTIA Security+ bestehen zu können.
1.2 Die CompTIA Security+-Zertifizierung
CompTIA ist ein weltweiter Verband der Informationstechnologieindustrie. CompTIA hat Mitglieder in mehr als 100 Ländern und liefert Technologiestandards in den Bereichen internetfähige Dienstleistungen, E-Commerce, herstellerunabhängige Zertifizierung, Kundenzufriedenheit, Public Policy sowie Ausbildung. Die Arbeit von CompTIA beruht auf einem kooperierenden Mitgliedsmodell – das heißt, Hersteller, Dienstleister und Beschäftigte der IT-Industrie arbeiten bei der Formulierung und Umsetzung konkreter Ziele zusammen.
Insbesondere im Bereich der IT-Zertifizierung hat sich CompTIA weltweit einen anerkannten Ruf erworben und ist heute der größte herstellerunabhängige Anbieter von Zertifizierungen im Bereich der Informationstechnologie. Die Basis für die anerkannte Güte der CompTIA-Zertifikate ist nicht zuletzt deren gemeinschaftliche Entwicklung durch IT-Fachkräfte und Mitgliedsunternehmen. Da ein großes Problem der IT-Branche der Wildwuchs zahlreicher Fort- und Weiterbildungsmaßnahmen ist, bietet CompTIA insbesondere im Rahmen der technischen Grundausbildung hochwertige Zertifikate an, die Privatpersonen wie Unternehmen die Orientierung auf dem unübersichtlichen Fortbildungsmarkt erleichtern sollen.
Das erklärte Ziel von CompTIA ist die Etablierung von technischen und fachlichen, aber auch ethischen und professionellen Qualitätsstandards in der IT-Industrie. Indem Unternehmen wie Cisco, Hewlett-Packard, IBM, Intel, Microsoft und Ricoh die Entwicklung der Zertifikate von CompTIA finanziell und mit ihrem Know-how unterstützen, gewinnen sie gleichzeitig Anhaltspunkte über die Fachkompetenz und ein sicheres Anforderungsprofil für die Auswahl von Mitarbeitenden.
Weltweit haben mehr als zwei Millionen Menschen CompTIA-Zertifikate in Systemtechnik, Netzwerktechnologie, Serverbetreuung und anderen Gebieten erworben.
Die CompTIA Security+-Zertifizierung wendet sich an Techniker und Technikerinnen mit eigener Berufserfahrung im Informatikbereich und bescheinigt Absolventen eine breite Kenntnis auf dem Gebiet der Sicherheitstechnologie. Das bestandene Examen bedeutet, dass Geprüfte über ausreichend Wissen verfügen, um die Bedrohungslage zu verstehen und eine Reihe von Maßnahmen zu konfigurieren bzw. in Betrieb zu nehmen. Im Rahmen der Zertifizierung werden zahlreiche herstellerunabhängige Technologien behandelt. Die CompTIA Security+-Prüfung eignet sich sehr gut als Vorbereitung auf die IT-Zertifikate diverser, im Security-Sektor aktiver Hersteller.
Damit die Zertifizierung am Markt erfolgreich bleibt, wird die Prüfung durch die CompTIA regelmäßig aktualisiert und an die aktuellen Anforderungen angepasst, und so liegt mittlerweile die 701er Version von CompTIA Security+ vor. Die Inhalte der Zertifizierung werden anschließend in Lernzieldokumenten auf der Website von CompTIA unter http://www.comptia.org veröffentlicht (sogenannte »Exam Objectives«).
Die CompTIA Security+-Zertifizierung teilt sich in mehrere Fachgebiete, im CompTIA-Sprachgebrauch »Domains« genannt. In der aktuellen Fassung der Prüfung (SY0-701) lauten diese Themen auf Englisch wie folgt:
Domain 1 General Security Concepts (Generelle Sicherheitskonzepte)
Domain 2 Threats, Vulnerabilities and Mitigation (Bedrohungen, Schwachstellen und Abwehrmaßnahmen)
Domain 3 Security Architecture (Sicherheitsarchitektur)
Domain 4 Security Operations (Sicherer Betrieb)
Domain 5 Security Program Management and Oversight(Verwaltung und Überwachung von Sicherheitsprogrammen)
Entsprechend erhalten Sie in diesem Handbuch zur Sicherheit alle genannten Themen und ihre Zusammenhänge ausführlich erklärt und erlernen so zugleich das für die Zertifizierung notwendige Wissen. Im Zentrum steht dabei weniger die Auflistung aller möglichen und unmöglichen Abkürzungen aus diesem Bereich, sondern die Schaffung des Verständnisses für die Thematik Sicherheit. Für die Abkürzungen finden Sie zudem ein Abkürzungsverzeichnis im Anhang dieses Buches, ebenso wie eine Zuordnung der einzelnen Lernziele zu den Inhalten des Buches.
1.3 Das Weiterbildungsprogramm von CompTIA
Halten Sie Ihre Zertifizierung mit dem Weiterbildungsprogramm (CE) von CompTIA auf dem neuesten Stand. Es ist als kontinuierliche Bestätigung Ihrer Expertise und als Werkzeug zur Erweiterung Ihres Kompetenzspektrums konzipiert.
Durch die Teilnahme am Weiterbildungsprogramm von CompTIA bleiben Sie mit neuen und sich entwickelnden Technologien auf dem Laufenden und können Ihre einmal erworbene Prüfung rezertifizieren.
Ihre CompTIA-Security+-Zertifizierung ist ab dem Tag Ihrer Prüfung drei Jahre lang gültig. Das CE-Programm ermöglicht es Ihnen, Ihre Zertifizierung in dreijährigen Abständen durch Aktivitäten und Schulungen zu verlängern, die sich auf den Inhalt Ihrer Zertifizierung beziehen. Wie Security+ selbst verfügt auch CompTIA Security+ CE über einen weltweit anerkannten ISO/ANSI-Akkreditierungsstatus.
Sie können an unterschiedlichen Aktivitäten und Schulungsprogrammen teilnehmen, darunter auch an höherwertigen Zertifizierungen, um Ihre CompTIA-Security+-Zertifizierung zu erneuern. Schließen Sie CertMaster CE ab, einen Online-CE-Kurs im eigenen Tempo, oder sammeln Sie in drei Jahren mindestens 30 Continuing Education Units (CEUs), laden Sie diese auf Ihr Zertifizierungskonto hoch, und Network+ erneuert sich automatisch.
Hinweis
Wenn Sie den an dieser Stelle von CompTIA zur Verfügung gestellten Code „Kabera10“ nutzen, so erhalten Sie beim Kauf eines CompTIA-Prüfungs-Vouchers auf der Webseite von CompTIA 10 % Rabatt.
1.4 Voraussetzungen für CompTIA Security+
Gemäß der Website von CompTIA (http://www.comptia.org) sind die empfohlenen Voraussetzungen für das Bestehen der Security-Prüfung die CompTIA Network+-Zertifizierung sowie zwei Jahre Erfahrung im Netzwerkbereich mit Schwerpunkt Sicherheit oder einer Systemadministratorenrolle.
Diesen Empfehlungen stimmen die Autoren natürlich zu. Dieses Buch kann Ihnen nicht die praktische Erfahrung vermitteln, die im Bereich Netzwerktechnik nötig ist, um erfolgreich zu sein. Wenn Sie sich also auf die Zertifizierung vorbereiten möchten, lesen Sie dieses Buch, aber installieren Sie auch selbst ein Netzwerk, befassen Sie sich regelmäßig mit Sicherheitsthemen, gehen Sie in ein Training oder bauen Sie mit Kollegen eine Umgebung auf, die dafür geeignet ist, und üben Sie sich praktisch in der Erkennung von Bedrohungen, der Anwendung von Sicherheitsmaßnahmen und -konzepten.
Für weitere Informationen begeben Sie sich bitte auf die Website von CompTIA unter http://www.comptia.org/de. Details zur Prüfung finden Sie zudem in Kapitel 21, »Die CompTIA Security+-Prüfung«.
1.5 Persönliches
Wer sich zum ersten Mal mit der Thematik Informatiksicherheit befasst, wird vor allem eins feststellen: Es wimmelt nur so von Fremdwörtern und Fachbegriffen. Von Anti-Spam über Phishing bis zum Zombie ist alles vertreten, was das Alphabet zu bieten hat.
Als Autoren staunen wir manchmal selbst über die Vielfalt an Kreationen, die hier geschaffen werden – auch wir mussten nachdenken, als wir zum ersten Mal über »Whaling« gelesen haben … und längst nicht alle Begriffe verfügen über den gleichen Tiefsinn oder fachlichen Rückhalt.
Ein Buch zur Informatiksicherheit zu verfassen, ist daher eine Gratwanderung zwischen der notwendigen Vermittlung von Fachwissen und der Zurückhaltung gegen ein Überborden von Pseudofachbegriffen und (vorwiegend) Anglizismen, die mehr vorgeben, als sie wirklich bedeuten.
Wir haben uns daher beim Schreiben bemüht, Ihnen einen Überblick zu ermöglichen, sich mit den zentralen Themen vertraut zu machen und vor allem die Thematik zu verstehen, aber nicht schlicht Begriffe auswendig zu lernen – obwohl sich das prüfungstechnisch nicht ganz vermeiden lässt.
Es ist unsere feste Hoffnung, dass wir Sie mit diesem Buch für die Thematik der Informationssicherheit über die reine Prüfung hinaus sensibilisieren können, Ihnen Hilfen an die Hand geben und Sie ausrüsten für einen sinnvollen und sicheren Umgang mit Informationen und Informatikmitteln in Ihrem Umfeld.
Zu den Autoren selbst:
Mathias Gut, Master of Advanced Studies ZFH in Business Analysis und Dipl. Informatiker, ist Information- und Cyber-Security-Experte. Er ist in verschiedenen Bereichen von Sicherheitsfragen ausgebildet und zertifiziert, unter anderem als zertifizierter OSSTMM Professional Security Tester (OPST), zertifizierter ICO ISMS Auditor nach ISO/IEC 27001:2022, CompTIA Advanced Security Practitioner (CASP), CompTIA Security+, CompTIA Network+, CompTIA Linux+ und hat zusätzlich ein abgeschlossenes Zertifikat CAS Information Security & Risk Management der Fachhochschule Nordwestschweiz. Er arbeitet täglich mit Fragen der Cybersicherheit und unterrichtet zudem als Dozent im Bereich der Informationstechnik mit Schwerpunkt Cyber-Sicherheit in der höheren beruflichen Bildung. Als impulsgebender Entwickler und Mitdozent des von der HWZ verliehenen CAS Cyber Security Expert übernimmt er eine aktive Rolle in der Weiterbildungslandschaft. In seiner Freizeit setzt er sich für quelloffene Software und freie Analysemethoden ein, forscht zu Themen des Living-off-the-Land Hackings und gibt Fachreferate dazu.
Markus Kammermann, ursprünglich Theologe, später weitere Berufsausbildungen zum IT-Projektleiter und Ausbilder, SCRUM Master, CompTIA Security+ und weitere Zertifizierungen, ist Autor mehrerer Fachbücher aus der CompTIA-Zertifizierungsreihe bei mitp. Allen voran das bereits in 9. Auflage erschienenen Grundlagenwerks »CompTIA Network+« sowie das in 6. Auflage verlegten Studienwerks »CompTIA A+«. Er arbeitet seit vielen Jahren als technischer Berater, Dozent und Referent in verschiedenen Ländern und ist in seiner Seele ein »Erklärer«, der nach wie vor selbst IT-Infrastruktur konzipiert, vernetzt und installiert und somit die Sicherheit in der IT tagtäglich mit seinen Kunden erlebt, auch und gerade, wenn sie nicht funktioniert. Als Dozent in der höheren beruflichen Bildung und Autor ist es ihm wichtig, nicht nur Sachverhalte darzulegen, sondern sie verständlich zu machen, denn Lernen lebt nicht vom Hören, sondern vom Verstehen und Befähigt werden.
Wir danken Herrn Rechtsanwalt Christian Mitscherlich (Partner), Herrn Rechtsanwalt Fokko Oldewurtel (Senior Associate) und Herrn Andreas Schäfer (Senior Associate) von der Kanzlei Domenig & Partner Rechtsanwälte AG für ihren wertvollen Beitrag zu den Themen Datenschutz, Cybercrime und KI-Recht. Ihre Kanzlei Domenig & Partner Rechtsanwälte AG aus Bern besteht aus führenden Datenschutzexperten der Schweiz, die an der Redaktion des neuen schweizerischen Datenschutzgesetzes mitgewirkt haben. Private Unternehmen und die öffentliche Hand zählen bei der Bewältigung ihrer datenschutzrechtlichen Herausforderungen auf die Hilfe des Datenschutzrechtsteams der Domenig & Partner Rechtsanwälte AG.
Anlässlich der anwaltlichen Beratung beschäftigen sich die Autoren täglich mit der Umsetzung von Vorgaben der DSGVO und des neuen schweizerischen Datenschutzgesetzes. Diese umfangreiche Praxiserfahrung ließen die Autoren bei der Redaktion des neuen Kapitels Kapitel 4, »Rechtliche Grundlagen«, der fünften Auflage dieser Publikation einfließen.
Bedanken möchten wir uns an der Stelle auch bei Markus a Campo, der an der ersten Auflage aktiv mitgearbeitet und damit etliche Vorarbeit vor allem zur 2. Auflage beigetragen hat. Er arbeitet als Berater, Autor und Schulungsreferent mit dem Schwerpunkt IT-Sicherheit. Er ist von der IHK Aachen öffentlich bestellter und vereidigter Experte im Bereich IT-Sicherheit.
Bedanken möchten wir uns an dieser Stelle zudem ausdrücklich bei den Herstellern und ihren Kommunikationsabteilungen, die uns mit Bildmaterial und Unterlagen unterstützt haben.
Ebenso möchten wir uns an dieser Stelle beim mitp-Verlag bedanken und persönlich bei Katja Völpel – ja, wir haben wieder einen Titel zusammen publiziert, und das ist erfreulich.
Und da dies heute ein aktuelles Thema ist: Dieses Buch wurde auch in der fünften Auflage nicht mit KI-basierten Tools erstellt oder revidiert, und wir haben die KI auch nicht um ihre Meinung zu unserem Buch befragt.
Wir wünschen Ihnen viele spannende Stunden, ob in einem E-Book am Tablet bzw. Computer oder mit einem gedruckten Exemplar, was übrigens, so als Randnotiz, immer noch mehr als 90 % aller Leser und Leserinnen vorziehen, und nein, diese Zahl stammt nicht von 2015 aus der ersten Auflage ...
Kapitel 2: Sind Sie bereit für CompTIA Security+?
Bevor Sie sich an die eigentlichen Themen von CompTIA Security+ heranwagen, haben Sie an dieser Stelle die Gelegenheit, die Voraussetzungen für diese Zertifizierung in einem kleinen Test an sich selbst zu überprüfen.
Sie finden daher im Folgenden 25 Fragen, die sich, basierend auf den von CompTIA definierten Voraussetzungen, vorwiegend mit Netzwerkfragen befassen und Ihnen die Einschätzung erlauben sollen, ob Sie das für die folgenden Themen benötigte Verständnis und Fachwissen mitbringen.
Frage 1
Sie verkaufen Ihrem Kunden eine Komponente mit der Aufschrift »IEEE 802.11ax«. Worum handelt es sich technisch gesehen bei diesem Produkt?
VLAN-Technologie
USB-3.0-Anschluss
USB-1.n-Anschluss
WLAN-Technologie
FireWire-Anschluss
FDDI-Anschluss
Frage 2
Welches ist die maximale Segmentlänge eines Gigabit-Ethernet-Segments, wenn Sie dieses mit 1000BASE-LX verkabeln?
7500 Meter
5500 Meter
550 Meter
250 Meter
100 Meter
Frage 3
In einem Unternehmen sollen sich dessen Gäste mit dem Internet verbinden können, ohne dass sie irgendeinen Zugriff auf das Firmennetzwerk erhalten. Alle Verbindungen müssen über den gleichen Switch gemanagt werden können. Was werden Sie unternehmen, um diese Anforderungen zu erfüllen?
RIPv2 implementieren
OS-PF installieren
Port Trunking implementieren
VLAN-Funktionalität implementieren
Frage 4
Bei allen folgenden Anschlüssen handelt es sich um fiberoptische Anschlüsse mit Ausnahme von:
BNC (British Naval Connector)
MT-RJ (Mechanical Transfer-Registered Jack)
ST (Straight Type)
SC (Standard Connector)
Frage 5
Ein Netzwerk gemäß 802.11n-Standard kann auf Frequenzen im folgenden Frequenzband senden:
900 MHz
1,9 GHz
2,9 GHz
5,0 GHz
11,0 GHz
Frage 6
Nicht jedes Kabelmedium reagiert gleich auf elektromagnetische Störungen. Welches der folgenden Medien ist am anfälligsten für diese Störungen?
UTP-Kategorie 5e
MMF optisches Kabel
RG-58 Koaxial
F/STP-Kategorie 6a
Frage 7
Mit welchem der folgenden Geräte können Sie ein 802.3-Netzwerk mit einem 802.11-Netzwerk verbinden?
Modem
Repeater
PVC (Permanent Virtual Circuit)
Gateway
WAP (Wireless Access Point)
Frage 8
Welche Netzwerkschnittstelle arbeitet auf den oberen drei OSI-Layern und verbindet Netzwerke unterschiedlicher Architekturen?
Hub
Modem
Switch
Router
Gateway
Frage 9
Die Arbeitsstation, an der Sie gerade arbeiten, zeigt Ihnen eine Fehlermeldung. Diese besagt, dass die IP-Adresse Ihres Rechners doppelt im Netzwerk entdeckt worden ist. Nachdem Sie sich eine Ursache für dieses Problem überlegt haben, was ist Ihr nächster Schritt?
Einen Aktionsplan zur Lösung umsetzen
Zusätzliche Fakten zum Auftreten des Problems sammeln
Die Lösung dokumentieren
Den Aktionsplan testen und die Ergebnisse auswerten
Frage 10
Welcher Programmaufruf erzeugt das folgende Ergebnis auf dem Bildschirm:
Aktive Verbindungen
Proto Lokale Adresse Remoteadresse Status
TCP workstation:1135 192.168.2.68:microsoft HERGESTELLT
TCP workstation:3845 server05.mitp.de:HTTP WARTEND
arp
ifconfig
tracert
netstat
proto /a
nslookup
Frage 11
Ein Benutzer meldet sich beim Administrator, dass er keinen Zugriff mehr auf das Netzwerk hat. Er kann keinen erfolgreichen ping-Befehl an die anderen Stationen in seinem Netz absetzen, und ipconfig zeigt ihm zwar eine gültige IP-Adresse an, die aber nicht das korrekte Subnetz anzeigt, in dem sich der Rechner eigentlich befindet. Welcher Ansatz beschreibt dieses Problem am ehesten richtig?
Der DHCP-Server hat die Kommunikationsverbindung zum passenden DNS-Server verloren.
Der WINS-Server ist offline.
Der DHCP-Server ist offline.
Jemand hat einen zweiten DHCP-Server aktiviert.
Die Netzwerkkarte ist defekt.
Frage 12
Ihr IT-Administrator hat kürzlich einen neuen DNS-Server ins Netzwerk integriert und den bisherigen DNS-Server vom Netz genommen. Der neue DNS-Server verfügt über eine neue IP-Adresse, und dieser Wechsel wurde im DHCP-Server auch eingetragen.
Dennoch können in der Folge einige Arbeitsstationen Webadressen wie z.B. http://www.mitp.de oder http://www.educomp.eu aufrufen, während andere dies nicht können. Welche Arbeitsstationen sind in der Lage, die Adresse http://www.mitp.de aufzurufen?
Jede Arbeitsstation, die seit der Umstellung den DHCP-Lease nicht erneuert hat.
Jede Arbeitsstation mit einer statischen IP-Adresse.
Jede Arbeitsstation, die mindestens über Microsoft Edge verfügt.
Jede Arbeitsstation, die den DHCP-Lease seit der Umstellung erneuert hat.
Frage 13
Ein Webdesigner hat den Webauftritt der Firma umgebaut und dabei so programmiert, dass ab jetzt HTTPS notwendig ist, um eine Verbindung zum Server herzustellen.
Nach dieser Umstellung ist der Webserver zwar für die Intranet-Benutzer nach wie vor zugänglich, aber vom Internet ist keine Verbindungsaufnahme mehr zu ihm möglich. Was verursacht dieses Problem am Ehesten?
Die Firewall des Unternehmens verweigert den Zugang auf Port 389.
Die Firewall des Unternehmens verweigert den Zugang auf Port 443.
Der Webserver des Unternehmens verweigert den Zugang auf Port 8080.
Der DNS-Server des Unternehmens ist deaktiviert.
Frage 14
Welches der folgenden Kommandos resultiert in der Anzeige der MAC-Adresse eines bestimmten Computers?
nslookup
ipconfig /all
nbtstat -r
netstat
Frage 15
Eine Antivirensoftware bietet dann den besten Schutz, wenn sie … (vervollständigen Sie bitte den Satz korrekt):
auf den Arbeitsstationen installiert ist, die mit dem Internet verbunden sind.
auf den Servern installiert ist.
auf den Servern und allen Arbeitsstationen installiert ist.
auf dem Internet-Gateway installiert ist.
Frage 16
Der Netzwerkadministrator muss das Notebook eines Außendienstmitarbeiters einrichten. Dabei muss er dem Verkäufer ermöglichen, im Außeneinsatz via Internet eine sichere Verbindung zum Firmennetzwerk aufbauen zu können. Was muss der Administrator bei der Einrichtung konfigurieren?
Er installiert das IPX/SPX-Protokoll für sicheren Datenaustausch.
Er installiert eine Firewall auf dem Laptop.
Er richtet einen drahtlosen Zugang ein.
Er erstellt eine PPTP-Verbindung.
Er stellt sicher, dass die Antivirensoftware jederzeit auf dem neuesten Stand ist.
Frage 17
Ihr Netzwerkadministrator implementiert mehrere VLANs auf einem Switch. Welches Gerät bzw. welche Funktionalität benötigt er dabei, um den Datenverkehr zwischen den verschiedenen VLANs zu ermöglichen?
Nichts
Einen zweiten Switch
Einen zusätzlichen Switch pro VLAN
Einen Router
Frage 18
Beim Einsatz einer Routing-Tabelle wird welche der folgenden Routen am ehesten ausgewählt?
Die niedrigste administrative Distanz
Die höchste administrative Distanz
Die BGP-Route
Die Route mit dem höchsten Hop-Count
Frage 19
Wenn ein Windows-Netzwerk auf eine Ressource zugreift, werden die »Credentials« (Zugriffsberechtigungen) durch den Gebrauch eines _______ (setzen Sie den korrekten Begriff ein) übertragen.
Passworts
Tokens
Cookies
Keys
Usernames
Frage 20
Sie installieren ein neues Netzwerk und setzen dazu zwei Domaincontroller auf. Der eine hat die Adresse 192.168.25.5 und der andere die Adresse 192.168.25.140. Beide fungieren als DHCP-Server im Range 192.168.25.1 – 192.168.25.254 mit dem Subnetz 255.255.255.0. Nach der Installation treten verschiedentlich DHCP-Fehler auf. Wie können Sie diese beheben?
Ändern Sie das Subnetz auf 255.255.0.0, damit Sie mehr verfügbare Adressen erhalten.
Die Server halten die IP-Adressen zu lange im Cache Memory fest. Booten Sie die beiden Server neu, und das Problem ist behoben.
Teilen Sie den DHCP-IP-Bereich zwischen den beiden Servern auf, indem Sie den Bereich im DHCP-Server halbieren, sodass einer die Adressen von 192.168.25.1 bis 127 und der andere von 192.168.25.128 bis 254 vergibt.
Teilen Sie den DHCP-IP-Bereich zwischen den beiden Servern auf, indem Sie das Subnetz auf 255.255.255.128 ändern und den IP-Bereich halbieren, sodass einer die Adressen von 192.168.25.1 bis 127 und der andere von 192.168.25.128 bis 254 vergeben kann.
Frage 21
Sie arbeiten als Netzwerkadministrator in Ihrer Firma. Sie müssen den Bandbreitenbedarf für das Internet reduzieren. Wie können Sie dies erreichen?
Sie installieren einen WINS-Server.
Sie installieren einen Proxyserver.
Sie installieren einen HTTP-Dienst.
Sie installieren einen DHCP-Server.
Sie installieren einen DNS-Server.
Sie installieren eine Firewall.
Frage 22
Der Systemadministrator konfiguriert den MS-Exchange-Server für den Einsatz von E-Mail. Der Server muss dabei Mails an die Partnerfirma versenden können, die ihrerseits einen postfix-Server einsetzt. Welches Protokoll wird eingesetzt, um Mails zwischen diesen beiden Servern hin- und herzusenden?
POP3 (Post Office Protocol Version 3)
CSNW (Client Service for NetWare)
SMTP (Simple Mail Transfer Protocol)
TCP/IP
WNMG (Windows NetWare Mail Gateway)
Frage 23
Der Administrator eines Netzwerks ist zuständig für ein kleines lokales Netzwerk, in dem zehn Stationen verkabelt durch einen Switch verbunden sind. Der Switch wiederum ist an einen Router angeschlossen, der die Verbindung ins Internet sicherstellt. Eines Tages wird er von einem Benutzer um Hilfe gebeten, weil dieser nicht mehr ins Internet kommt. Alle anderen Benutzer haben aber Zugriff auf das Internet. Was muss dieser Administrator prüfen, um dieses Problem anzugehen?
Netzwerkkarte der betroffenen Maschine, Port des Switches, der zum Router verbunden ist
Netzwerkkabel von der betroffenen Maschine zum Switch, Port am Switch, bei dem dieser Rechner eingesteckt ist, Zugangskabel vom Internet zum Router
Netzwerkkarte der betroffenen Maschine, Netzwerkkabel von dieser Maschine zum Switch, Port am Switch, bei dem dieser Rechner eingesteckt ist
Netzwerkkabel der betroffenen Maschine, Netzwerkkabel aller anderen Benutzer und deren Ports am Switch, Uplink-Port zum Router
Frage 24
Ihr Unternehmen möchte für das neue Verkaufssystem eine sichere Netzwerkumgebung einrichten. Daher muss der Netzwerkverkehr dieses Systems aus Sicherheitsgründen isoliert werden. Das aktuelle Adressschema lautet 10.22.33.x /24. Welche der folgenden Methoden hilft am besten, um den Verkehr zu separieren?
Ein dediziertes Broadcast-Netzwerk für das neue System
Ein dediziertes Multicast-Netzwerk für das neue System
Der Wechsel der IP-Adressen in ein C-Klassenschema
Die Einrichtung eines eigenen Subnetzes für das neue System
Frage 25
Welches Netzwerkgerät kann regelbasiert Pakete filtern?
Firewall
Layer-2-Switch
Hub
Bridge
Die Antworten zu diesen Fragen finden Sie in Abschnitt A.1, »Antworten zu den Vorbereitungsfragen«.
Das Ziel dieses Tests ist es, mindestens 72 % der Fragen richtig zu beantworten. Erreichen Sie dieses Ziel, sind Sie gut vorbereitet auf die folgenden Kapitel. Erreichen Sie dieses Ziel nicht, empfehlen wir Ihnen, sich vorab intensiver mit Netzwerktechnik auseinanderzusetzen, zum Beispiel anhand der CompTIA Network+-Zertifizierung, zu der von Markus Kammermann ebenfalls ein deutschsprachiges Buch aus dem mitp-Verlag vorliegt: »CompTIA Network+«.
Kapitel 3: Wo liegt denn das Problem?
Wenn Sie sich an den Text aus der Einleitung des ersten Kapitels erinnern, so scheint Laras Welt ähnlich der Welt vieler Anwender wie auch Informatikspezialisten ohne große Anstrengung in Ordnung zu sein. Wozu also der ganze Aufwand zum Thema Sicherheit?
Lernen Sie in diesem Kapitel:
Wie Sie sich selbst für Gefahren sensibilisieren können
Welche Gefahrenlage vorhanden ist
Die verschiedenen Gefahrenkategorien unterscheiden
Welche Modelle zur Informationssicherheit entwickelt worden sind
Die Bedeutung von CIA in der Informationssicherheit kennen
Wie Sie die Bedeutung des Begriffs »IT-Grundschutz« einordnen und mit konkretem Inhalt füllen können
Welche praktischen Ansätze Sie selbst verfolgen können
3.1 Fangen Sie bei sich selbst an
Lesen Sie daher an dieser Stelle bitte den Text in Kapitel 1 noch einmal in Ruhe durch. Notieren Sie sich dabei auf einem Blatt Papier alle Ereignisse im Bericht von Lara, an denen Informationen in Form von Daten, Dokumenten oder Gesprächen weitergegeben werden. Blättern Sie jetzt also zurück und lesen Sie …
Hinweis
Nehmen Sie sich Ihre Zeit für Notizen.
Haben Sie den Text noch einmal gelesen? Und sich dabei Notizen gemacht?
Fragen Sie sich jetzt nach dem Lesen anhand Ihrer Notizen, wer an diesen Informationen Interesse haben könnte, und notieren Sie sich, ob diese Interessenten berechtigter- oder unberechtigterweise daran interessiert sind.
Und jetzt gehen Sie den letzten Schritt in dieser Situation: Was passiert, wenn diese Informationen in falsche Hände gelangen? Und wie groß sind die Risiken, wenn Sie die einzelnen Tatbestände Revue passieren lassen?
Damit haben Sie sich mit Ihren Antworten selbst die Ausgangslage geschaffen, warum die Thematik »Sicherheit« von Bedeutung sein kann und vielerorts auch sein muss.
Stellen Sie sich an diesem Punkt doch einmal folgende konkrete Fragen zu Ihrem eigenen Umfeld, in dem Sie arbeiten:
Wie wird bei Ihnen im Unternehmen der Internetzugang der Mitarbeitenden geregelt? Gibt es dafür Richtlinien oder Beschränkungen?
Verfügen Sie über drahtlose Netzwerke und wie sind diese eingerichtet?
Verfügen Ihre Mitarbeitenden über Installationsrechte auf den eigenen Systemen, an denen sie arbeiten?
Werden in Ihrem Unternehmen Notebooks eingesetzt? Und wie werden diese aktualisiert sowie auf mögliche Gefährdungen überprüft?
Wissen Sie, welche Ports wozu auf Ihren Firmen-Firewalls offen sind?
Wie häufig müssen Ihre Mitarbeitenden Passwörter für den Systemzugang wechseln? Und wie viele Passwörter müssen die Mitarbeitenden kennen?
Wer darf in Ihrem Unternehmen Auskünfte an externe Personen erteilen?
Wie ist der Umgang mit E-Mails geregelt? Wer darf was lesen, anhängen, versenden, öffnen, weiterleiten oder speichern?
Nehmen Sie sich auch hier die Zeit, um Ihre persönlichen Antworten zu diesen Fragen zu notieren. Dann lesen Sie weiter, und Sie erfahren mehr über die Risiken im Umgang mit Informationen und Informationstechnik.
Hinweis
Nehmen Sie sich Ihre Zeit für Notizen.
Die Sache ist eigentlich ganz einfach:
Wenn es auf der Welt eine konkrete Gefahr gibt und Sie genau in dem Bereich Ihres Unternehmens eine Anwendung oder ein System betreiben – dann erleben Sie eine mögliche Bedrohung Ihrer Sicherheit.
Angewandt heißt das: Wenn die Butter auf dem Markt für die nächsten zwei Wochen nur knapp erhältlich ist und Ihr Kuchen nächsten Samstag aus 30 % Butter besteht und sonst nicht gebacken werden kann, dann ist das Gelingen Ihres Kuchens bedroht – wäre auch schade, oder?
Komplizierter geht es natürlich auch, läuft aber auf dasselbe hinaus: Wenn Sie die möglichen Risiken in Bezug auf die bestehenden Anlagen, Prozesse, Programme und Benutzer von IT-Systemen kennen und dazu eine Analyse der bei Ihnen vorhandenen Ressourcen und eingesetzten Lösungen erstellen, bildet die Schnittmenge der beiden Ereignisgruppen den Schutzbedarf für Ihre Informationssicherheit und bildet die reale Bedrohungslage ab.
Die Hauptsache ist, Sie verstehen, dass die für Sie reale Bedrohung aus der Kombination von möglichen Gefahren »draußen« und den bei Ihnen eingesetzten Mitteln und Möglichkeiten ersichtlich ist. Verbringen Sie also mehr Zeit mit der Analyse Ihrer eigenen Prozesse, Anlagen und der Informationsinfrastruktur als mit dem Lesen aller Schauergeschichten und fokussieren Sie auf die Implementation von Sicherheit in Ihrem konkreten Umfeld.
3.2 Die Gefahrenlage
Informationen bilden die Grundlage für viele Prozesse, digitale ebenso wie physische. So werden aus Lieferdaten Rechnungen erstellt und aus Konstruktionsplänen Maschinen gebaut. Die Informationen bilden somit einen Teil oder zumindest die Grundlage für die Wertschöpfung des Unternehmens ab. Und zwar lange vor der Informatik.
Wer also selbst keine Idee dazu hatte, wie man eine Brücke stabil bauen kann, konnte versuchen, den Bauplan des Konkurrenten zu entwenden. Das war allerdings aufwendig, denn man musste persönlich vor Ort erscheinen oder einen Räuber schicken. Heute läuft das etwas anders. Fragen Sie mal all die ausgemusterten Industriespione, die jetzt umschulen müssen, weil sehr vieles über Informatik abgewickelt wird – selbst in deren Business.
Die meisten geschäftsrelevanten Informationen werden heute mithilfe der Informatik und zunehmend auch mit Hilfe von künstlicher Intelligenz (KI) erstellt, bearbeitet, gespeichert und transportiert. Das gilt für Konstruktionspläne von Maschinenbetrieben ebenso wie für die Anmeldedaten des privaten Bankkontos zu Hause. Ebenso zahlreich ist die Anzahl von Geschäftsprozessen, die ohne eine zuverlässige Informatik gar nicht mehr denkbar sind. Aus dieser Verknüpfung von Information und Informatik ergibt sich der hier angestrebte Fokus auf die Informationssicherheit.
Was sich nicht geändert hat: Räuber gibt es immer noch – aber es wäre zu einfach, die Aufzählung von Gefahren an dieser Stelle zu beenden. Die möglichen Gefahren in Zusammenhang mit der informationstechnischen Aufbereitung, dem Transport und der Lagerung von Daten können ganz unterschiedlicher Herkunft sein:
Irrtümer oder Fehler der eigenen Mitarbeitenden im Umgang mit Systemen und Anwendungen, die zu Fehlern oder Verlust von Informationen führen
Hard- oder Softwaremängel
Defekte an Systemen und Netzwerkkomponenten
Ausfall von Verbindungsleitungen
Fehlende Dokumentation, die keinen Rückschluss mehr auf die Information ermöglicht
Höhere Gewalt wie Feuer oder Wasser
Bösartige Programme wie Viren, Würmer und Trojaner
Informationsdiebstahl
Spionage
Hacking, d.h. bewusstes Eindringen in Systeme und Netzwerke
Sabotage zur Störung von technischen Anlagen
Die Häufung der Gefahren kann sich von Jahr zu Jahr immer wieder verändern, und Sie finden dazu auch unterschiedliche Quellen, die es lohnt zu studieren, um diese Veränderungen wahrzunehmen. Gute Quellen dafür sind in der Schweiz die Halbjahresberichte des NCSC (ehemals MELANI, Meldestelle für Informationssicherheit), in Deutschland das BSI (Bundesamt für Sicherheit in der Informationstechnik) oder das folgende Beispiel, das der Bundesverband Informationswissenschaft, Telekommunikation und Neue Medien e.V. (Bitkom) im Herbst 2018 unter dem Titel »Die zehn größten Gefahren des Internets« publiziert hat (siehe Abbildung 3.1).
Abb. 3.1: Bitkom-Grafik: Gefahren des Internets (Quelle: https://www.bitkom.org/Presse/Presseinformation/Die-zehn-groessten-Gefahren-im-Internet.html)
Was in dieser Grafik und vielen anderen solchen Darstellungen gerne vergessen wird: Der Trojaner oder die Schadsoftware sind nicht darum auf Platz Nummer 1 oder 2, weil sie dies technisch erzwingen können. Sondern weil Menschen sich dazu bewegen lassen, auf solche Angriffe, gefälschte Mails, Links, täuschende Webseiten etc. zu klicken, und dadurch den Schädling auf ihr System befördern – der Faktor Mensch spielt bei vielen dieser Gefahren eine zentrale Rolle und muss daher in einer solchen Statistik immer mit berücksichtigt werden.
Auf die Gefahren im Einzelnen werden Sie in den folgenden Kapiteln genauer hingewiesen.
Eine zweite Form der Statistik neben der Häufigkeit oder Wahrscheinlichkeit sind die Schadensstatistiken. In ihnen wird erhoben, welche Form von Gefahren real die größten Schäden verursachen – sofern die Betroffenen denn die Zahlen herausrücken.
So schreibt etwa die Lohmann-Gruppe in einem Bericht zur Sensibilisierung an die eigenen Mitarbeitenden im Mai 2015 mit Bezug auf Quellen von Symantec, Focus und der FAZ:
»Mit diesem Flyer möchten wir Ihnen die enorme Wichtigkeit dieses Themas noch einmal in Erinnerung rufen und Sie dazu anhalten, Ihren Beitrag dazu zu leisten, mögliche Gefahren für unser Unternehmen abzuwenden. In Deutschland entstehen pro Jahr drastische Schäden:
3,4 Mio. € Schaden durch Datenverlust
50 Mrd. € Schaden durch Hackerangriffe
100 Mrd. € Schaden durch Wirtschaftsspionage«
Oder nehmen Sie das jüngste Beispiel vom Frühling 2024, als in London mehrere Kliniken wegen eines breit angelegten Cyberangriffs Operationen absagen oder verschieben mussten, weil Hacker wichtige Systeme und Daten verschlüsselt hatten.
Wie erwähnt, die Zahlen sind kaum akkurat belegbar, zu groß ist die Dunkelziffer der Unternehmen, die Schäden lieber nicht bekannt geben – aber sie geben eine Größenordnung an, und diese wiederum belegt, dass es bei Schäden, die im Bereich Informationssicherheit liegen, nicht um Bagatellen geht.
Auffällig ist in den letzten Jahren die deutliche Kriminalisierung der Gefahrenlage. Mit ihr einher geht die entsprechende Professionalisierung dieser Szene. Der »einsame Hacker« oder der »gelangweilte Virenschreiber« steht längst nicht mehr im Fokus. Stattdessen organisieren sich kriminelle Kreise, und die finanziellen Aspekte geraten mehr und mehr ins Zentrum des Interesses. Und dies über fast alle der vorhin aufgezählten zehn größten Gefahren hinweg, mit Ausnahme der rein technisch bedingten Ausfälle (Defekte).
Auch hierzu werden Sie bei den einzelnen Angriffsformen und Bedrohungsszenarien genauere Informationen im Lauf dieses Buches erfahren.
3.3 Die Analyse der Bedrohungslage
Die Gefahren lauten somit zusammengefasst:
Menschliches Versagen
Technische Defekte
Vorsätzliche Handlungen bzw. Angriffe
Gesetzliche und vertragliche Mängel
Höhere Gewalt
Ob dadurch für Sie eine Bedrohung entsteht, ist damit aber keinesfalls gesagt. Denn dazu müssen Sie zuerst wissen, ob Sie von diesen Gefahren betroffen sind. Und hierzu benötigen Sie eine Analyse! Zumindest können Sie sich fragen:
Beschäftigen Sie Mitarbeitende? Haben Sie eigene Server und Maschinen? Ist Ihr Netzwerk mit dem Internet verbunden? Haben Sie ein Gebäude, in dem Sie alles unterbringen? Hängen Ihre Wertschöpfungsprozesse an elektronischer Informationsverarbeitung und Workflows oder elektronischen Datenbeständen?
Es dürfte Ihnen schwerfallen, alle diese Fragen mit »Nein« zu beantworten. Schon erahnen Sie, dass es wohl zwischen diesen Gefahren und Ihren eigenen Gegebenheiten tatsächlich eine relevante Schnittmenge geben wird – und damit eine aktuelle und für Sie zutreffende Bedrohungslage, um die Sie sich kümmern sollten.
Und hier setzt die Informationssicherheit ein und damit auch Ihre Aufgabe, wenn Sie im Bereich der Informationssicherheit tätig sind oder sein möchten.
3.4 Kategorien der Informationssicherheit
Die Informationssicherheit, auch IT-Sicherheit oder vereinfacht und nicht wirklich zutreffend genug Datensicherheit genannt, bedient sich zur Beschreibung des Schutzes vor Schaden dreier Kategorien, die auch die drei Grundsäulen der Informationssicherheit genannt werden:
Vertraulichkeit
Integrität
Verfügbarkeit
Vertraulichkeit gewährleistet, dass die jeweiligen Informationen und Daten ausschließlich dem dafür vorgesehenen Benutzerkreis zur Verfügung gestellt werden, und verhindert, dass irgendjemand anderes Einblick in diese Daten und Informationen erhalten kann, weder im gespeicherten, transportierten noch geöffneten oder zu bearbeitenden Zustand.
Integrität bezeichnet die Sicherstellung der Korrektheit (Unversehrtheit) von Daten und der korrekten Funktionsweise von Systemen. Wenn der Begriff Integrität auf »Daten« angewendet wird, drückt er aus, dass die Daten vollständig und nicht manipuliert sind. In der Informationstechnik wird er in der Regel aber weiter gefasst und auf »Informationen« angewendet. Den Informationen können je nach Zusammenhang bestimmte Attribute wie z.B. Autor oder Zeitpunkt der Erstellung zugeordnet werden. Der Verlust der Integrität von Informationen kann daher bedeuten, dass diese unerlaubt verändert, Angaben zum Autor verfälscht oder Zeitangaben zur Erstellung manipuliert wurden.
Die Verfügbarkeit von Informationen, Funktionen eines IT-Systems, IT-Anwendungen oder IT-Netzwerken ist durch ihre Präsenz innerhalb einer geeigneten Frist sicherzustellen. Das heißt, die Daten dürfen nicht fehlen oder verloren sein, die Programme dürfen nicht fehlerhaft und die Infrastruktur muss betriebsbereit sein. Die Verfügbarkeit ist eine Gewährleistung für den sicheren IT-Betrieb.
Anders formuliert heißt das:
Es darf auf keine Weise und niemandem möglich sein, zufällig oder unberechtigt Daten zu verändern (Integrität).
Nur wer berechtigt ist, darf Zugriff auf für ihn oder sie bestimmte Daten und Bearbeitungsmöglichkeiten erhalten (Vertraulichkeit).
Die Daten müssen jederzeit verlustfrei zur Verfügung stehen (Verfügbarkeit).
Auf Englisch bestehen dafür die Begriffe Confidentiality (Vertraulichkeit), Integrity (Integrität) und Availability (Verfügbarkeit) und daraus abgeleitet die Abkürzung CIA, die Sie in diesem Zusammenhang antreffen, auch in den Bezeichnungen von CompTIA.
Als vierte Kategorie kann die Verbindlichkeit, auch Authentizität oder Non-Repudiation genannt werden. Die Verbindlichkeit betrifft vor allem die elektronische Datenübertragung und stellt sicher, dass zur Herkunft und Beschaffenheit der Daten keine Zweifel bestehen dürfen. Sie müssen also authentisch sein oder eben »nicht abstreitbar«. Dies hat besondere Bedeutung im elektronischen Zahlungsverkehr und bei Verträgen, wo es um die absolute Unversehrtheit von Daten geht.
Die Implementation dieser drei Grundsäulen (bzw. natürlich aller vier Kategorien) geschieht minimal durch einzelne Sicherheitsmaßnahmen, besser anhand eines Sicherheitskonzepts, und am besten anhand eines Informationsicherheits-Managementsystems, wie es verschiedene Sicherheitsmodelle vorschlagen, zu denen Sie gleich mehr erfahren werden.
Die Realisation des Schutzes von Informatiksystemen und -daten wird wiederum in drei Kategorien unterteilt:
Physische Sicherheit
Technische Sicherheit
Organisatorische Sicherheit
Die physische Sicherheitkümmert sich um Bedrohungen und Maßnahmen, die baulich oder gebäudebezogen sind, wie etwa der Hochwasserschutz für einen Serverraum oder die Stromversorgung von IT-Systemen.
Die technische Sicherheitkümmert sich um alle Risiken und Maßnahmen im Zusammenhang mit den eigentlichen Systemen. Viren und deren Bekämpfung, die Implementierung von Verschlüsselungstechnologien oder der Schutz von Netzwerken sind Themen dieser Kategorie.
Die organisatorische Sicherheitkümmert sich letztlich um alle Fragen der Organisation, etwa wer für die Datensicherung zuständig ist, wie häufig ein Passwort gewechselt werden muss oder wer die Meldeliste für Notfälle führt.
Aus operationaler Sicht ergeben sich damit für Techniker und Administratoren unterschiedliche Felder, die es in allen drei obigen Bereichen zu berücksichtigen gilt:
Infrastruktur und übergeordnete Werte
Computer und Netzwerke
Sicherheitsmanagement und Richtlinien
Authentifikation und Zugriffsrechte
Datensicherung und -sicherstellung
Gesetzliche Aspekte wie die Sicherstellung des Datenschutzes und dessen unmittelbare Folgen für die Informationssicherheit
Gerade das Sicherheitsmanagement und die dazugehörigen Richtlinien sind aber nicht einzig das Gebiet der technischen Verantwortlichen, da es für die Implementierung dieser Themen zwingend die Unterstützung der Betriebsleitung braucht. Sicherheitsverantwortliche können und müssen die notwendigen Vorschläge einbringen. Doch nur, wenn die Sicherheitspolitik durch das Management getragen und gefördert wird, kann sie im Unternehmen auch wirklich umgesetzt werden. Und damit kommen Sie zum nächsten Thema: den Lösungsansätzen für die Sicherheitsproblematik.
Den folgenden Sachverhalt werden Sie in diesem Buch sicher mehr als einmal in ähnlicher Form wieder antreffen. Aber er ist zentral: Sicherheit geht alle an. Für die Informationssicherheit bedeutet dies darum zuerst: Die Verantwortung beginnt ganz oben – sie lässt sich nicht an die IT oder externe Partner delegieren, sondern muss vom Management getragen und gefördert werden. Wichtige Entscheidungen wie »Welche Risiken tragen wir?« oder »Welche Mittel setzen wir für die Sicherheit ein?« müssen durch das Management proaktiv gefällt und danach zur Ausführung an die zuständigen Stellen weitergegeben werden. Und anschließend werden alle informiert und involviert, bis hin zur Schulung des Sicherheitsbewusstseins für alle Mitarbeitenden.
3.5 Modelle und Lösungsansätze
Über die Jahre haben sich verschiedene Ansätze, ja selbst ganze Modelle zum Thema Informationssicherheit entwickelt. In diesem Übersichtskapitel geht es darum, Ihnen die übergeordneten Modelle und Ansätze vorzustellen.
In direkter oder indirekter Form orientieren sich diese Modelle alle an den drei eben vorgestellten Grundsäulen der Sicherheit, von daher überschneiden sie sich auch. Sie gehen aber unterschiedliche Wege, was ihre Umsetzbarkeit und Tiefe anbelangt.
3.5.1 TCSEC oder ITSEC
Bevor die ersten umfassenderen Sicherheitsmodelle aufkamen, gab es bereits einzelne technische Standards für die Zertifizierung der Sicherheit von IT-Systemen – und zwar schon 1983!
Die von der US-Regierung herausgegebenen Standards nannten sich TCSEC (Trusted Computer System Evaluation Criteria). Sie wurden umgangssprachlich auch als Orange Book bezeichnet. Die Kriterien kamen entsprechend hauptsächlich in den USA zum Einsatz, während in Europa eigene Kriterien formuliert wurden und im Jahre 1990 unter dem Titel ITSEC als Information Technology Security Evaluation Criteria veröffentlicht und danach 1991 revidiert verabschiedet wurden.
Beide Kriteriensysteme wurden später im Jahre 1996 in die Common Criteria überführt, dazu dann gleich mehr.
TCSEC wie auch ITSEC kategorisieren die Sicherheit von Computersystemen in ein hierarchisches System mit unterschiedlichen Stufen.
Bei TCSEC steht die Stufe D für ein unsicheres System, C für ein etwas gesichertes System mit der Möglichkeit, dies auf C1 oder C2 zu verbessern. Die Stufe enthält bereits ein Sicherheitsmodell und kann auf B1, B2 oder B3 verbessert werden, und die Stufe A beschreibt ein sehr sicheres System, das als Ganzes auch formal verifizierbar ist.
Für die Praxis: Die meisten Unix- und Windows-Systeme erfüllen von sich aus »C1«, lassen sich aber ohne großen Aufwand auch so konfigurieren, dass sie »C2« erfüllen.
Bei ITSEC lauten die entsprechenden, etwas detaillierter formulierten fünf Klassen dann F-C1 bis F-B3, wobei es dann noch zusätzliche Klassen für die Bewertung der Funktionalität von Systemen in Bezug auf die Konsistenz von Daten und die Verfügbarkeit von Diensten gibt.
Wie erwähnt – beide Systeme sind längst in den Common Criteria aufgegangen, weshalb die Einteilungen nicht weiter vertieft werden sollen.
3.5.2 Common Criteria
Die bereits erwähnten Common Criteria, ausgeschrieben eigentlich Common Criteria for Information Technology Security Evaluation, liegen mittlerweile in Version CC 4.x vor. Sie wurden Ende 1999 zum internationalen Standard ISO/IEC 15408 erklärt und als ISO/IEC 15408:2022 im Jahr 2022 aktualisiert und als neuer Standard verabschiedet
Der CC-Standard unterscheidet zwischen der Funktionalität von Systemen und der Qualität von Systemen. Die Funktionalität kann geprüft und damit zertifiziert werden. Die Qualität kann gemessen und durch Maßnahmen auf ihre Wirksamkeit und Korrektheit überprüft werden. Somit kann ein Produkt nach den in ISO 15408-2 definierten Kriterien zur Zertifizierung vorgelegt werden.
Dazu bestehen auf der einen Seite Funktionsklassen, zu denen ein Produkt sich prüfen lassen kann, und zum anderen Klassen der Vertrauenswürdigkeit, die die Korrektheit der Implementierung von Sicherheit beschreiben.
Die Funktionsklassen stellen eine Liste dar, keine Hierarchie. Da gibt es z.B. die FPR für die Funktionalität der Privatsphäre oder die FDP für die Funktionalität zum Schutz der Benutzerdaten. Der Hersteller kann von sich aus angeben, zu welcher Funktionsklasse er sein Produkt prüfen lassen möchte.
